Apple publica Safari 3.1.2 que soluciona vulnerabilidad

Apple publicó Safari 3.1.2, el cuál soluciona el problema de seguridad que permite la ejecución sin ninguna advertencia al usuario de archivos descargados de Internet, basado en la configuración de zonas de IE. Esto puede permitir a un atacante remoto ejecutar código de forma arbitraria en un sistema vulnerable.

Safari es un navegador web disponible para plataformas OS X y Microsoft Windows. La versión para Windows modifica su comportamiento basado en la seguridad de las zonas de Internet Explorer.

Safari consulta uno de los registros de las zonas de seguridad de Internet Explorer, y de acuerdo a su estado, puede ejecutar o no los archivos descargados de Internet.

Para los sitios de confianza y la zona Intranet local en los sistemas 6 de IE, el valor de este registro está a cero, lo que indica que la acción está permitida. Un valor diferente a cero en la zona de Internet, indica al programa que no deben ejecutarse al ser descargados, sin embargo Safari ignora ese valor y permite su ejecución.

En los sistemas 7.x de IE, el valor es uno para la zona de sitios de confianza, y cero para la zona Intranet local, lo que indica en el primer caso, que debe mostrarse la advertencia que se van a iniciar aplicaciones y archivos inseguros.

De todos modos Safari ejecuta automáticamente los archivos descargados en otras zonas, si la configuración “Iniciación de aplicaciones y archivos inseguros” está ajustada para “permitir”.

Un atacante podría aprovecharse de este problema para la ejecución de malware, mediante la visita a un sitio web modificado maliciosamente. Para que el ataque tenga éxito, la víctima debería estar utilizando Safari para navegar.

A los usuarios de Safari se recomienda actualizarse a la versión 3.1.2 para Windows.

Referencias:

About the security content of Safari 3.1.2 for Windows
http://support.apple.com/kb/HT2092

Vulnerability Note VU#127185
Apple Safari automatically executes downloaded files based on Internet Explorer zone settings
http://www.kb.cert.org/CERT_WEB/services/vul-notes.nsf/id/127185

Relacionados:

Sobre las zonas de seguridad en Windows
http://www.vsantivirus.com/zonas-ie.htm

Revelan detalles de una vulnerabilidad no solucionada
http://www.vsantivirus.com/18-06-08.htm

Ataque combinado, no solo Safari es culpable
http://www.vsantivirus.com/03-06-08.htm

Microsoft advierte sobre amenaza provocada por Safari
http://www.vsantivirus.com/02-06-08.htm

Anuncios

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s

A %d blogueros les gusta esto: